Kam ši pamoka

Dviem vadovams. Pirmam didelis klientas ar konkursas parašė: „Reikalingas ISO 27001 sertifikatas.“ Antram atėjo laiškas apie NIS2 ir neaišku, ar tai liečia jo įmonę.

Abiem reikia to paties: suprasti, apie ką tai, kiek tai kainuoja laiko ir nuo ko pradėti — be konsultantų žargono.

Ši pamoka nėra teisinė konsultacija. Ar jūsų įmonei taikomas NIS2 — pasitikrinkite Nacionaliniame kibernetinio saugumo centre ↗ ar pas teisininką.

ISO 27001 vienu sakiniu

Tai ne IT projektas, o valdymo sistema: įmonė nusprendžia, kokią informaciją saugo, įvertina, kas jai gali nutikti, parenka priemones, jas taiko, tikrina, ar veikia, ir nuolat gerina.

Sertifikatas nepatvirtina, kad įsilaužti neįmanoma. Jis patvirtina, kad šis ciklas tikrai vyksta — ir auditorius tai mato iš įrodymų, ne iš pažadų.

Iš ko standartas susideda

Dvi dalys:

  • 4–10 skyriai — reikalavimai pačiai valdymo sistemai: apimtis, vadovybės vaidmuo, rizikų vertinimas, mokymai, vidaus auditas, vadovybės peržiūra, gerinimas. Juos privaloma įvykdyti visus.
  • A priedas — 93 saugumo priemonės (kontrolės), suskirstytos į keturias temas. Kurias taikyti, nusprendžiate pagal savo rizikas ir pagrindžiate.

A priedas: 93 kontrolės, keturios temos

Organizacinės37
Technologinės34
Fizinės14
Žmonių8
Daugiau nei pusė kontrolių — ne technologijos, o tvarka, žmonės ir patalpos. Todėl ISO projektas negali būti „IT reikalas".

Nuo 2025 m. lapkričio sertifikuojama tik pagal 2022 m. standarto versiją — jei kas nors siūlo dokumentų rinkinį „pagal 2013“, jis pasenęs.

NIS2 ir Lietuva: kas pasikeitė

ES direktyva NIS2 Lietuvoje įgyvendinta atnaujintu Kibernetinio saugumo įstatymu, kuris įsigaliojo 2024 m. spalio 18 d. Prižiūrinti institucija — NKSC.

Ką vadovui svarbu žinoti:

  • Daugiau sektorių ir įmonių. Įstatymas apima ne tik energetiką ar bankus, bet ir daugelį kitų sektorių. Įmonės skirstomos į esmines ir svarbias.
  • Atsakomybė — vadovybės. Vadovai tvirtina saugumo priemones, prižiūri jų įgyvendinimą ir turi patys mokytis.
  • Pranešimai apie incidentus nustatytais terminais. NIS2 modelis — ankstyvas įspėjimas per 24 valandas, pranešimas per 72 valandas ir galutinė ataskaita per mėnesį. Tikslias Lietuvos taisykles pasitikrinkite NKSC.
  • Baudos esminiams subjektams — iki 10 mln. eurų arba 2 % metinės apyvartos.

Ryšys su ISO 27001: didelė dalis NIS2 priemonių sutampa su ISO 27001. Sertifikuota įmonė turi tvirtą pagrindą, bet teisinės pareigos (registracija, pranešimai NKSC) vykdomos atskirai.

Kelias iki sertifikato

Nuo sprendimo iki sertifikato

  1. Apimtiskurią įmonės dalį ir kokią informaciją saugome
  2. Rizikoskas gali nutikti ir kiek tai kainuotų
  3. Kontrolės ir SoAkurias iš 93 taikome ir kodėl
  4. Įgyvendinimasdirbame pagal tvarką ir kaupiame įrodymus
  5. Vidaus auditasir vadovybės peržiūra
  6. Sertifikavimasauditas dviem etapais
  7. Kasmetpriežiūros auditas
Mažai įmonei visas kelias dažniausiai užtrunka nuo pusmečio iki metų. Ilgiausia dalis — 4 žingsnis, nes auditoriui reikia matyti, kad sistema veikia laike.

Penki dokumentai, be kurių auditas neprasideda

  1. Apimtis — kokia įmonės dalis, kokios vietos, sistemos ir procesai.
  2. Informacijos saugumo politika — trumpa, vadovybės patvirtinta.
  3. Rizikų vertinimas ir rizikų valdymo planas — kas gali nutikti ir ką su tuo darome.
  4. Taikomumo pareiškimas (SoA) — 93 kontrolės: taikoma ar ne, ir kodėl.
  5. Vidaus audito ir vadovybės peržiūros įrašai — įrodymas, kad sistema tikrina pati save.

Prie to — įrodymai: mokymų sąrašai, prieigų peržiūros, atsarginių kopijų bandymai, incidentų registras. Būtent jų auditorius ieško daugiausiai.

Kur AI tikrai padeda — ir kur ne

Padeda: atotrūkio analizė, pirmieji politikų ir procedūrų juodraščiai, rizikų registro šablonas, SoA juodraštis pagal jūsų rizikas, mokymų medžiaga, vidaus audito klausimynas. Tai sutaupo savaites rašymo.

Nepadeda: sukurti tikrovės. Dokumentas „visi darbuotojai kas ketvirtį mokosi“, kai niekas nesimoko, — tiesus kelias į neatitiktį auditu.

Ir viena griežta riba: ISO projekte atsiranda daug jautrios informacijos — sistemų sąrašai, spragos, rizikos. Ją dėkite tik į įmonės patvirtintą AI įrankį. Kodėl — pamokoje Kaip pradėti naudoti AI darbe (saugiai).

Atotrūkio analizė per vieną popietę

Pirmas žingsnis visada tas pats: kur esame dabar. Nukopijuokite ir įklijuokite į įmonės patvirtintą AI:

Tu esi ISO 27001:2022 konsultantas. Padėk man atlikti atotrūkio analizę mūsų
įmonei: kur esame dabar ir ko trūksta iki sertifikato.

APIE MUS
- Veikla, darbuotojų skaičius, biurų skaičius: [...]
- Kodėl mums to reikia: [klientas / konkursas / NIS2 / kita]
- Svarbiausios sistemos: [pvz. Microsoft 365, buhalterija, CRM, svetainė]
- Kas jau yra: [pvz. MFA, atsarginės kopijos, antivirusas, jokių dokumentų]

EIGA
1. KLAUSK. Užduok klausimus pagal 4–10 skyrius ir keturias A priedo temas.
   Po vieną. Jei nežinau atsakymo — pažymėk kaip „nežinoma", ne kaip „yra".
2. LENTELĖ. Reikalavimas → būklė (yra / iš dalies / nėra / nežinoma) →
   ko trūksta → prioritetas → kas atsakingas.
3. PIRMI ŽINGSNIAI. Pasiūlyk apimties formuluotę ir 10 svarbiausių darbų
   pirmiems trims mėnesiams.

TIKSLAS
Darbas baigtas, kai turiu atotrūkio lentelę ir pirmų trijų mėnesių darbų
sąrašą su atsakingais žmonėmis.

TAISYKLĖS
- Neišgalvok, kad kažkas „įgyvendinta". Abejonė = „nežinoma".
- Neteik teisinių išvadų apie NIS2 — pasakyk, ką pasitikrinti NKSC.
- Necituok standarto teksto pažodžiui; aiškink savais žodžiais.

PABAIGOJE
Atskirai — KO NEPATIKRINAI ir kokius klausimus užduoti sertifikavimo įstaigai.

🤖 AI kelias rekomenduojama

AI klausia, komanda atsako

Geriausias rezultatas — kai į AI klausimus atsakote kartu su tuo, kas prižiūri IT, ir su vadovu ar buhaltere. Viena popietė vietoj kelių susitikimų su konsultantu.

„Kai baigsime lentelę, parašyk apimties juodraštį ir informacijos saugumo politikos juodraštį — ne ilgesnius nei vienas puslapis."

Jūsų darbas: sąžiningai atsakyti „nežinau", kai nežinote, ir perskaityti juodraščius taip, lyg būtumėte auditorius.

✋ Rankinis kelias

Dešimt klausimų sau

  1. Ar žinome, kokią informaciją saugome ir kur ji yra?
  2. Ar kas nors įvertino, kas jai gali nutikti?
  3. Ar yra vadovo patvirtinta saugumo politika?
  4. Ar žinome, kas prie ko turi prieigą — ir ar tai kas nors peržiūri?
  5. Ar atsarginės kopijos išbandytos? Ar MFA įjungtas visiems?
  6. Ar darbuotojai mokomi ir ar tai užfiksuota?
  7. Ar registruojame incidentus, net mažus?
  8. Ar tiekėjai, turintys prieigą prie mūsų duomenų, įvertinti?
  9. Ar kas nors tikrina, ar tvarka tikrai laikomasi?
  10. Ar vadovybė bent kartą per metus tai peržiūri?

Ką padaryti šį mėnesį

  1. Pasitikrinkite, ar jūsų įmonei taikomas NIS2 (NKSC svetainėje ar pas teisininką).
  2. Su promptu aukščiau atlikite atotrūkio analizę kartu su IT žmogumi.
  3. Įjunkite tris greitus laimėjimus: MFA visiems, kopijų bandymą, apsaugą visuose kompiuteriuose.

Jei norite, kad atotrūkio analizę atliktume kartu — pagalba@itbroliai.lt

Pasitikrinkite

Penki klausimai apie tai, ką ką tik perskaitėte. Pabaigoje gausite sertifikatą su savo rezultatu.